CPRA i CCPA Audyt i Oceny; jesteśmy gotowi, kiedy Ty! Zadzwoń +1 (888) 896-7580 dzisiaj.

Kalifornia zastąpiła ustawę CCPA, uchwalając Kalifornijska ustawa o prawach do prywatności („CPRA”). CPRA zmienia California Consumer Privacy Act („CCPA”). Lazarus Alliance będzie bezpośrednio współpracować z Twoją organizacją w celu zaplanowania oceny California Privacy Rights Act (CPRA). Nasi asesorzy pomogą określić poziom certyfikacji na podstawie konkretnych wymagań biznesowych Twojej firmy.

Ważne części to:

• Przedsiębiorstwa, które świadczą usługi mieszkańcom Kalifornii i których roczny przychód wynosi co najmniej 25 milionów dolarów, będą musiały dostosować się do nowych przepisów.
• Przedsiębiorstwa, których 50% lub więcej rocznych przychodów pochodzi ze sprzedaży lub dzielenie dane osobowe konsumentów.
• Firmy, które zgodnie z ustawą CCPA są klasyfikowane jako „zewnętrzni dostawcy” i „dostawcy usług”, w ustawie CPRA dodano teraz „kontrahenta” jako odrębną klasę podmiotów regulowanych.
• Przedsiębiorstwa dowolnej wielkości, które posiadają dane osobowe co najmniej 100,000 XNUMX osób lub które uzyskują ponad połowę swoich przychodów ze sprzedaży danych osobowych.

Aby wesprzeć egzekwowanie CPRA, Kalifornia utworzyła Kalifornijską Agencję Ochrony Prywatności („Agencja Prywatności”). Agencja Prywatności będzie miała pełną władzę administracyjną, uprawnienia i jurysdykcję do wdrażania i egzekwowania CCPA i CPRA. Agencja jest uprawniona do nałożenia grzywny w wysokości 2,500 USD za każde naruszenie CPRA lub 7,500 USD za każde umyślne naruszenie lub każde naruszenie z udziałem osoby nieletniej. Przed tą ustawą CCPA było egzekwowane przez Biuro Prokuratora Generalnego Kalifornii.

Ustawa CPRA eliminuje 30-dniowy okres powiadomienia i naprawy naruszenia zawarty w ustawie CCPA, ale Agencja ds. Prywatności ma prawo wyznaczyć przedsiębiorstwu termin na naprawienie domniemanego naruszenia, biorąc pod uwagę brak zamiaru naruszenia ustawy CPRA i dobrowolne wysiłki na rzecz naprawienia domniemanego naruszenia przed otrzymaniem powiadomienia o skardze.

Porozmawiaj z jednym z naszych Cyberwizorzy™

Tylko fakty ...

Co to jest działalność objęta ochroną?

Ustawa CPRA zmienia definicję „biznesu” w CCPA, zmieniając podmioty objęte ustawą. Z jednej strony ustawa CPRA zwiększa próg poboru podatku CCPA z 50,000 100,000 konsumentów lub gospodarstw domowych do 50 XNUMX i usuwa urządzenia z tej liczby. Ta zmiana przyniesie ulgę małym firmom. Z drugiej strony ustawa CPRA rozszerza zakres, aby objąć podmioty, które XNUMX% lub więcej swoich rocznych przychodów czerpią ze sprzedaży lub dzielenie danych osobowych konsumentów, niezależnie od tego, czy otrzymują oni wynagrodzenie pieniężne. Chociaż akt dzielenie dodano dane osobowe konsumentów, próg 50% pozostaje niezmieniony. Inne zmiany obejmują joint ventures lub partnerstwa i podmioty samocertyfikujące.

Wreszcie, oprócz kategorii „zewnętrznych dostawców” i „dostawców usług” w ramach CCPA, CPRA dodaje „kontrahenta” jako odrębną kategorię podmiotów regulowanych. Kontrahent to osoba trzecia, której firma udostępnia dane osobowe konsumentów do celów biznesowych. Podobnie jak w przypadku dostawców usług, kontrahenci muszą teraz zawrzeć pisemną umowę i zobowiązać się do podjęcia odpowiednich kroków w celu ochrony objętych przepisami danych elektronicznych.

Czym są poufne dane osobowe?

Jedną z najważniejszych zmian w CCPA jest utworzenie nowej klasyfikacji danych osobowych — wrażliwych danych osobowych. Jest to podkategoria danych osobowych, która obejmuje:

• Numer ubezpieczenia społecznego, prawa jazdy, dowodu osobistego lub paszportu
• Informacje o koncie finansowym
• Dokładna geolokalizacja
• Rasowy pochodzenia etnicznego
• Życie seksualne lub orientacja seksualna
• Przekonania religijne lub filozoficzne
• członkostwo unijne
• Komunikacja niepubliczna
• Dane genetyczne, biometryczne i zdrowotne

Gromadzenie poufnych danych osobowych wymaga dodatkowych wymogów dotyczących ujawniania, rezygnacji i użytkowania. Odrębne traktowanie obejmuje przyznanie konsumentom prawa do ograniczenia ujawniania i użytkowania poufnych danych osobowych, z wyjątkiem przypadków niezbędnych do wykonania usług. Firmy muszą umieścić na swojej stronie internetowej link zatytułowany „Ogranicz korzystanie z moich poufnych danych osobowych” oprócz wymaganego przez CCPA linku rezygnacji, aby konsumenci mogli skorzystać z tego prawa.

Jakie są nowe i rozszerzone prawa konsumentów w zakresie ochrony prywatności?

CCPA rozszerzyło prawa mieszkańców Kalifornii, które wykraczały daleko poza istniejące prawa konsumentów do prywatności w USA: prawo do wiedzy, prawo dostępu, prawo do usunięcia i prywatne prawo do dochodzenia roszczeń z ustawowymi odszkodowaniami. CPRA rozszerza niektóre z tych praw i dodaje nowe.

• Rozszerzone prawo do wiedzy/prawo do dostępu. CPRA rozszerza to bezpośrednio poza normalny 12-miesięczny okres retrospektywny CCPA, o ile nie jest to „niemożliwe” lub nie wiąże się z „nieproporcjonalnym” wysiłkiem. CPRA rozszerza wymóg CCPA dotyczący podania kategorii stron trzecich, którym ujawnia dane osobowe, o kategorie dostawców usług i kontrahentów, którym ujawnia informacje.
• Rozszerzone prawo do usuwania. CCPA daje mieszkańcom Kalifornii prawo do żądania, aby firma usunęła ich dane osobowe, jeśli nie są już potrzebne do wypełnienia jednego z celów ustawowych. CPRA rozszerza to prawo, wymagając od firm wysłania żądania usunięcia do stron trzecich, które kupiły lub otrzymały dane osobowe konsumenta, tak aby wszystkie strony musiały zastosować się do żądania.
• Prawo do rezygnacjiCCPA daje konsumentom prawo do rezygnacji ze sprzedaży ich danych stronom trzecim przez firmy. CPRA rozszerza to prawo, obejmując dzielenie Oprócz sprzedaży, firmy muszą teraz informować konsumentów o tym, kiedy ich dane będą udostępniane, a także informować ich o prawie do rezygnacji.
• Prawo do wyrażania zgody dla osób niepełnoletnich. CCPA wymaga, aby firmy uzyskały zgodę opt-in na sprzedaż danych osobowych nieletniego w Kalifornii poniżej 16 roku życia. CPRA rozszerza to prawo, nakazując firmom odczekanie 12 miesięcy przed poproszeniem nieletniego o zgodę na sprzedaż lub udostępnianie jego danych osobowych po tym, jak nieletni odmówił.

Oprócz rozszerzenia kilku praw CCPA, CPRA wprowadza również kilka nowych praw konsumentów w zakresie prywatności:

• Prawo do poprawiania informacjiKonsumenci w Kalifornii mają teraz prawo zażądać od firmy poprawienia wszelkich nieprawidłowych danych osobowych.
• Prawo do ograniczenia wykorzystania i ujawniania poufnych danych osobowych. Konsumenci w Kalifornii mają teraz prawo ograniczyć wykorzystanie i ujawnienie poufnych danych osobowych do zastosowań niezbędnych do świadczenia usług lub dostarczania towarów, których przeciętny konsument w uzasadniony sposób oczekuje. Dostawcy usług i osoby trzecie są również zobowiązani do przestrzegania tego ograniczenia.
• Prawo dostępu do informacji o automatycznym podejmowaniu decyzjiPodobnie jak w przypadku RODO, konsumenci mają teraz prawo dostępu do informacji o tym, jak firmy wykorzystują technologię zautomatyzowanego podejmowania decyzji. CPRA daje konsumentom prawo do rezygnacji z wszelkich zautomatyzowanych procesów decyzyjnych.
• Prawo do przenoszenia danychKonsumenci w Kalifornii mają teraz prawo zażądać od firm przekazania danych osobowych innemu podmiotowi, o ile jest to technicznie wykonalne.

Jakie są zasady wdrażania RODO?

Ustawa CPRA skodyfikowała następujące przepisy inspirowane rozporządzeniem RODO:

• Minimalizacja danych. CPRA ogranicza dane osobowe gromadzone przez firmy do tych, które są „rozsądnie konieczne i proporcjonalne do osiągnięcia celów, dla których dane osobowe zostały zebrane”. Ta sekcja zapobiega również unikaniu przez firmy obowiązków CPRA poprzez wysyłanie danych osobowych poza stan lub za pośrednictwem osób trzecich, kontrahentów lub dostawców usług. Kiedy firma gromadzi dane osobowe i przekazuje je innemu podmiotowi w celach biznesowych, CPRA wymaga również zawarcia umowy, która określa ograniczone cele przekazywanych danych osobowych. Strony otrzymujące muszą również przestrzegać obowiązków CPRA i zapewnić ten sam poziom prywatności, podczas gdy firma udostępniająca informacje może podjąć rozsądne kroki, aby pomóc zapewnić, że informacje zostaną przekazane w odpowiedni sposób.
• Ograniczenie celu. CPRA zezwala przedsiębiorstwom na zbieranie danych osobowych wyłącznie w „konkretnych, wyraźnych i prawnie uzasadnionych celach ujawnionych”, które są ujawniane konsumentom z wyprzedzeniem.
• Ograniczenie przechowywania danychCPRA zawiera ograniczenia dotyczące przechowywania danych, które podobnie jak RODO wymagają, aby przedsiębiorstwa ujawniły konsumentom „okres czasu, przez jaki przedsiębiorstwo zamierza przechowywać każdą kategorię danych osobowych, a jeśli nie jest to możliwe, kryteria stosowane do określenia takiego okresu…”.
• Rozsądne bezpieczeństwoUstawa CPRA wyraźnie odnosi się do kwestii bezpieczeństwa i naruszeń bezpieczeństwa, co stanowi kolejny przepis inspirowany RODO. Jeśli firma naruszy swój obowiązek wdrożenia i utrzymania właściwych procedur i praktyk bezpieczeństwa, konsumenci mogą wystąpić z powództwem cywilnym o odszkodowanie, nakaz sądowy lub deklaratoryjny, a także o inne zadośćuczynienie, które sąd uzna za stosowne.

Czym jest prywatne prawo do dochodzenia roszczeń?

Rozszerzenie prawa do dochodzenia roszczeń w ramach ustawy CPRA jest prawdopodobnie jednym z najważniejszych przepisów dla firm, biorąc pod uwagę niedawny wzrost liczby naruszeń danych. Ustawa CCPA przyznaje kalifornijskim konsumentom prawo do dochodzenia roszczeń w przypadku ujawnienia ich niezaszyfrowanych lub nieocenzurowanych danych osobowych z powodu niewdrożenia przez firmę odpowiednich środków bezpieczeństwa. Ustawa CPRA rozszerza to prawo do dochodzenia roszczeń o nieautoryzowany dostęp do adresów e-mail, haseł lub pytań bezpieczeństwa.

Patrząc w przyszłość

To tylko kilka zmian, jakie CPRA wprowadza w świecie zgodności z przepisami dotyczącymi danych i prywatności. Chociaż wszystkie aspekty CPRA nie zaczną w pełni obowiązywać do 1 stycznia 2023 r., firmy prowadzące działalność w Kalifornii powinny rozpocząć wewnętrzne prace przygotowawcze do zgodności z CPRA w latach 2021 i 2022.

Aby przygotować się na CPRA, organizacje mogą podjąć proaktywne kroki, takie jak:

• Określ, czy podlegasz ustawie CPRA. Niektóre przedsiębiorstwa, które nie podlegały CCPA, będą podlegać CPRA i odwrotnie.
• Żądania konsumentów:Przedsiębiorstwa powinny zadbać o to, aby dysponowały odpowiednimi wewnętrznymi procedurami obsługi żądań konsumentów oraz określić, w jaki sposób można rozszerzyć takie procesy, aby umożliwić konsumentom korzystanie z nowych i rozszerzonych praw wynikających z ustawy CPRA.
• Aktualizuj Politykę Prywatności. Firmy powinny dokonać przeglądu i rozważyć, jakie aktualizacje należy wprowadzić do początkowego powiadomienia o gromadzeniu danych i powiadomienia o ochronie prywatności witryny, aby uwzględnić nowe wymagania, w tym te dotyczące poufnych informacji osobistych i nowych/rozszerzonych praw.
• Mapowanie danych i audyty. Firmy powinny rozważyć przeprowadzenie ćwiczenia mapowania danych w celu zidentyfikowania typów danych przechowywanych przez organizację, sposobu ich przepływu w całej organizacji, osób mających dostęp do danych oraz wpływu potencjalnego naruszenia.
• Przeglądanie umów z podmiotami trzecimi. Firmy powinny przeprowadzać audyty umów z osobami trzecimi, aby ustalić, czy potrzebny jest dodatek dotyczący ochrony danych, aby umowa była zgodna z CPRA.

Na koniec, ważne jest, aby pamiętać, że CCPA nadal obowiązuje i będzie obowiązywać do 2023 roku. W międzyczasie, Lazarus Alliance jest gotowy pomóc Twojej firmie zapewnić zgodność z CCPA i CPRA.

Korzyści ze współpracy z Lazarus Alliance ...

Redukcja kosztów

Pracujemy mądrzej, a nie ciężej, aby obniżyć Twoje koszty, udostępniając Ci aplikację ITAM firmy Continuum GRC, wiodące rozwiązanie oprogramowania SaaS do audytu GRC zgodne z CCPA. To rozwiązanie jest jedyną aplikacją oceniającą dostosowaną do wymogów CPRA i CCPA.

Dzięki wieloletniemu doświadczeniu pracujemy z klientami dla naszych klientów, a nie wbrew nim, ograniczając zakres usług i coroczne podwyżki cen.

Proaktywny, nie reaktywny

Przez cały rok aktywnie współpracujemy z naszymi klientami CPRA i CCPA, aby zapobiegać zagrożeniom dla programu zgodności.

Biorąc pod uwagę czas i koszty niezbędne do zachowania zgodności z przepisami, nie chcesz narażać się na ryzyko naruszenia przepisów, które mogłoby zwiększyć Twoje koszty i unieważnić Twoje cenne poświadczenie.

Od początku do końca w rekordowym czasie

Nasze sprawdzone podejście i technologia oceny CPRA i CCPA znacząco usprawniają proces realizacji. Dzięki naszej metodologii ścieżki krytycznej, proaktywnej filozofii i wykorzystaniu… Ciągłość GRC ITAM platforma. Masz dostęp 24/7, dzięki czemu każdy może szybko opuścić platformę.

Porozmawiaj z jednym z naszych ekspertów

Nasze zespoły Lazarus Alliance Cybervisor™ mają doświadczenie w przeprowadzaniu tysięcy ocen dla organizacji świadczących usługi klientom na całym świecie.